Para minimizar el riesgo de ataques de ransomware en su empresa, combine controles técnicos, procesos sólidos y capacitación continua para empleados. A continuación, se presenta una guía práctica y orientada a los negocios que puede adaptar a organizaciones de cualquier tamaño.

1. Construya una Sólida Estrategia de Respaldo y Recuperación

El ransomware es más poderoso cuando no puede restaurar sus datos. Las copias de seguridad son su red de seguridad.

Mejores prácticas:

  • Siga la regla 3-2-1
    • 3 copias de sus datos
    • 2 tipos de almacenamiento diferentes (p. ej., NAS local + nube)
    • 1 copia fuera de línea o inmutable (no se puede cambiar ni eliminar)
  • Use copias de seguridad inmutables (escritura única, lectura múltiple) siempre que sea posible (p. ej., AWS Backup with Vault Lock, Azure Immutable Storage).
  • Pruebe regularmente las restauraciones: una copia de seguridad que no puede restaurar es inútil. Simule restauraciones completas y parciales al menos trimestralmente.
  • Separe las credenciales de respaldo de las cuentas de administrador normales para que los atacantes no puedan eliminar fácilmente las copias de seguridad.

2. Capacite a los Empleados para Detectar y Evitar el Phishing

La mayoría de los ataques de ransomware comienzan con un correo electrónico de phishing o un enlace malicioso.

Acciones:

  • Realice una capacitación continua de concientización sobre seguridad (p. ej., KnowBe4, Cofense) centrada en:
    • Reconocer enlaces y archivos adjuntos sospechosos
    • Verificar solicitudes inesperadas de pago o restablecimiento de contraseña
    • Informar sobre correos electrónicos sospechosos en lugar de ignorarlos
  • Simule campañas de phishing para medir y mejorar la resiliencia.
  • Agregue un botón fácil de "Reportar Phishing" en los clientes de correo electrónico (complementos de Outlook, Gmail, etc.).
  • Enseñe al personal:
    • Nunca ingrese credenciales después de hacer clic en un enlace de correo electrónico sin verificar la URL.
    • En caso de duda, póngase en contacto con el departamento de TI/seguridad a través de un canal interno conocido.

3. Refuerce los Endpoints (Portátiles, Ordenadores de Escritorio, Servidores)

Sus endpoints son la primera línea de defensa.

a. Use protección de endpoints de última generación

  • Implemente soluciones EDR/XDR (p. ej., Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne) para detectar y bloquear:
    • Ejecutables maliciosos
    • Ataques basados en scripts (PowerShell, macros, etc.)
    • Comportamiento sospechoso (cifrado de archivos a escala, uso inusual de herramientas de administración)
  • Asegúrese de que la protección en tiempo real y las actualizaciones automáticas estén habilitadas.

b. Aplique parches de forma agresiva

  • Mantenga actualizados el SO, los navegadores, los clientes VPN y las aplicaciones de terceros.
  • Use herramientas centralizadas de administración de parches como:
  • Priorice las vulnerabilidades críticas y de alta gravedad que se sabe que se explotan en la naturaleza (realice un seguimiento a través del Catálogo CISA KEV).

c. Desactive las funciones de alto riesgo

  • Desactive o restrinja:
    • Macros de Office desde Internet
    • Herramientas de acceso remoto no utilizadas (TeamViewer, AnyDesk, etc.)
    • Derechos de administrador local para usuarios estándar
  • Aplique el allowlisting de aplicaciones (solo las aplicaciones aprobadas pueden ejecutarse) para sistemas confidenciales.

4. Proteja las Pasarelas de Correo Electrónico y Web

Reduzca el contenido malicioso antes de que llegue a los usuarios finales.

Seguridad del correo electrónico:

  • Use una pasarela de correo electrónico segura o protección en la nube (p. ej., Microsoft Defender for Office 365, Google Workspace Security).
  • Habilite:
    • Escaneo y sandboxing avanzados de archivos adjuntos
    • Reescribe de URL y escaneo de enlaces
    • Protecciones anti-spoofing: SPF, DKIM, DMARC
  • Marque los correos electrónicos externos con un banner claro, especialmente si parecen provenir de direcciones de aspecto interno.

Seguridad web:

  • Use filtrado DNS/web (p. ej., Cisco Umbrella, Cloudflare Gateway) para bloquear:
    • Dominios maliciosos conocidos
    • Dominios recién registrados o sospechosos que se utilizan a menudo en ataques

5. Implemente un Control de Acceso Sólido y Principios de Zero Trust

Limite lo que los atacantes pueden hacer si entran.

a. Autenticación multifactor (MFA) en todas partes

  • Habilite MFA en:
    • Cuentas de correo electrónico (Microsoft 365, Google Workspace)
    • VPN y acceso remoto
    • Portales de administración (proveedores de la nube, herramientas de seguridad, CRM, ERP)
  • Prefiera los métodos MFA resistentes al phishing siempre que sea posible (p. ej., claves FIDO2, aplicaciones de autenticación con coincidencia de números).

b. Acceso con privilegios mínimos

  • Elimine los derechos de administrador local de los usuarios; otorgue acceso elevado temporal solo cuando sea necesario.
  • Restrinja el acceso a recursos compartidos de archivos y sistemas confidenciales según las funciones.
  • Use la segmentación:
    • Separe los servidores de las estaciones de trabajo
    • Aísle los sistemas críticos (p. ej., finanzas, OT/SCADA) de las redes de usuarios generales

c. Mentalidad de Zero Trust

  • "Nunca confíe, siempre verifique": valide continuamente a los usuarios y los dispositivos.
  • Supervise el estado del dispositivo: bloquee o limite el acceso desde dispositivos no compatibles o no administrados.

6. Asegure el Acceso Remoto y las VPN

El acceso remoto es un punto de entrada común para las bandas de ransomware.

Pasos recomendados:

  • Evite exponer RDP directamente a Internet. En cambio:
    • Use una VPN o una pasarela de acceso remoto segura.
    • Restrinja el acceso RDP con autenticación a nivel de red y listas de permitidos de IP.
  • Aplique MFA en todas las conexiones VPN.
  • Limite qué usuarios pueden usar el acceso remoto y desde qué dispositivos.
  • Revise y rote regularmente las credenciales y los certificados de VPN.

7. Bloquee la Infraestructura Crítica y los Servidores

Los servidores y los activos de alto valor son objetivos principales del ransomware.

Acciones:

  • Refuerce Active Directory:
    • Limite y supervise las cuentas de administrador de dominio
    • Separe las cuentas de administrador de las cuentas de usuario normales
    • Habilite Usuarios protegidos y asegure los activos de nivel 0
  • Use la segmentación de red para evitar el movimiento lateral:
    • Separe los departamentos, la producción y las redes de respaldo
    • Limite la comunicación entre segmentos a lo que sea absolutamente necesario
  • Implemente el registro y la supervisión:
    • Centralice los registros (p. ej., SIEM como Splunk, Elastic, Microsoft Sentinel)
    • Alerte sobre patrones inusuales: cifrado masivo de archivos, escalamiento de privilegios, inicios de sesión fallidos

8. Prepare un Plan de Respuesta a Incidentes para Ransomware

La preparación reduce significativamente los daños y el tiempo de inactividad cuando ocurre un incidente.

Su plan de respuesta a incidentes de ransomware debe cubrir:

  • A quién llamar y en qué orden:
    • Líder interno de seguridad/TI
    • Liderazgo y legal
    • Socio externo de respuesta a incidentes
  • Pasos inmediatos de contención:
    • Aísle las máquinas afectadas de la red
    • Deshabilite las cuentas comprometidas
    • Bloquee las IP, los dominios y los hashes maliciosos
  • Plantilla de comunicación para:
    • Empleados (qué hacer/no hacer)
    • Clientes y socios (si el impacto es externo)
    • Organismos reguladores (si lo exige la ley)
  • Guía para la toma de decisiones:
    • Cuándo cerrar los servicios
    • Cuándo restaurar desde la copia de seguridad
    • Postura legal y política sobre los pagos de rescate (coordine con el departamento legal y el seguro)

Considere establecer una relación con un proveedor de respuesta a incidentes de confianza por adelantado, para que no esté buscando ayuda en medio de una crisis.

9. Use Marcos y Estándares de Seguridad como Hoja de Ruta

Aproveche los marcos de ciberseguridad reconocidos para estructurar sus defensas:

Estos marcos se asignan directamente a la prevención y respuesta al ransomware.

10. Considere el Seguro Cibernético y los Requisitos Legales

Si bien no es un control por sí solo, el seguro cibernético y el cumplimiento son importantes:

  • Algunas pólizas proporcionan:
    • Acceso a respuesta a incidentes 24 horas al día, 7 días a la semana
    • Cobertura para costos de recuperación, interrupción del negocio y apoyo legal
  • Compruebe:
    • Obligaciones regulatorias (GDPR, HIPAA, PCI-DSS, etc.) en caso de robo de datos junto con el cifrado.
    • Requisitos de información a las autoridades u organismos de la industria.

Las compañías de seguros también suelen compartir listas de verificación de mejores prácticas que se alinean con la reducción del riesgo de ransomware.

11. Lista de Verificación de Prioridad Simple (Qué Hacer Primero)

Si necesita un plan de inicio rápido:

  1. Active MFA para correo electrónico, VPN y cuentas de administrador.
  2. Implemente copias de seguridad confiables y probadas con al menos una copia fuera de línea/inmutable.
  3. Implemente la protección de endpoints (EDR) y asegúrese de que las actualizaciones automáticas estén habilitadas.
  4. Comience la capacitación de concientización sobre phishing y el phishing simulado para el personal.
  5. Deshabilite RDP expuesto y asegure todo el acceso remoto.
  6. Aplique parches a los sistemas críticos y a los servicios orientados a Internet.
  7. Documente un libro de jugadas de ransomware y realice un ejercicio de mesa.

Recursos Externos Útiles

Si comparte el tamaño de su empresa, la industria y si tiene personal interno de TI/seguridad, puedo proponer una hoja de ruta de protección contra ransomware personalizada y paso a paso adecuada para su entorno.